PB-016: Business Email Compromise

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	PB-016: Business Email Compromise	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel:

Dit playbook beschrijft het responsproces bij Business Email Compromise (BEC): gecompromitteerde e-mailaccounts, impersonatie van bestuurders, frauduleuze betaalverzoeken, impersonatie van leveranciers, salarisfraude en andere financieel gemotiveerde aanvallen via e-mail. Het doel is gecompromitteerde accounts snel vast te stellen, de toegang van de aanvaller in te dammen, financiële schade te voorkomen en mogelijke blootstelling van data te beoordelen.
Scope:

Van toepassing op alle BEC-incidenten waarbij e-mailsystemen, samenwerkingsplatforms, accounts van bestuurders, financiële medewerkers, leveranciers, klanten en communicatie met derden van de organisatie betrokken zijn.

2. Incidentidentificatie & criteria

Type incident: Business Email Compromise

Triggercondities:

Een gebruiker meldt een verdachte e-mail van een bestuurder
Een gebruiker meldt een verdacht betaalverzoek
Een leverancier meldt ongebruikelijke communicatie
Compromittering van een mailbox gedetecteerd
MFA fatigue-activiteit gedetecteerd
Verdacht aanmaken van inbox rules gedetecteerd
Verdachte activiteit van een OAuth-applicatie gedetecteerd
Melding van een financiële instelling ontvangen
Frauduleuze betaling vastgesteld
Melding uit threat intelligence ontvangen

Severity-niveaus:

Severity	Omschrijving
Sev 3	Vermoedelijke BEC-poging zonder bevestigde compromittering
Sev 2	Bevestigde compromittering van een account met beperkte impact
Sev 1	Bevestigde BEC met frauduleuze activiteit of blootstelling van gevoelige data
Sev 0	Aanzienlijke financiële schade, compromittering van een bestuurder of wijdverspreide impact op de organisatie

3. Rollen & verantwoordelijkheden

Incident Commander: Coördineert de incident response-activiteiten en escalatiebesluiten.
Technical Lead: Stuurt onderzoek, containment, eradication en recovery.
Communications Lead: Coördineert de communicatie met stakeholders en updates aan de directie.
Forensic Analyst: Analyseert de mailbox, authenticatie en activiteit.
Overige rollen:
- Identity & Access Management-team
- Team e-mailbeheer
- Financiële afdeling
- Legal & Compliance
- HR
- Team leveranciersmanagement

4. Eerste acties

Directe stappen

Stel de getroffen mailbox of gebruiker vast
Stel vast of de compromittering nog actief is
Informeer de Incident Commander
Stel bewijsmateriaal veilig
Start de incidentdocumentatie
Verdeel de onderzoeksverantwoordelijkheden

Runbooks

Beslispunt

Geen compromittering van een account vastgesteld → blijf monitoren en zet de awareness-activiteiten voort

Compromittering van een account bevestigd → ga door met onderzoek en containment

5. Onderzoek & analyse

Scope en impact bepalen

Analyseer de activiteit rond de gecompromitteerde mailbox
- RB-ANALYSIS-036: Onderzoek naar een gecompromitteerde mailbox
Review de authenticatieactiviteit
- RB-ANALYSIS-007: Analyse van authenticatielogs
Stel aanvullende gecompromitteerde accounts vast
- RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
Onderzoek doorsturen van e-mail en inbox rules
- RB-ANALYSIS-037: Analyse van mail forwarding & inbox rules
Onderzoek de blootstelling aan financiële fraude
- RB-ANALYSIS-038: Beoordeling van de impact van financiële fraude

Beslispunt

Compromittering van aanvullende accounts vastgesteld → voer PB-004: Account Takeover uit

Blootstelling van data vastgesteld → voer PB-005: Data-exfiltratie uit

Betrokkenheid van een insider vermoed → voer PB-006: Insider Threat uit

6. Containment, eradication & recovery

Containment-acties

Eradication-stappen

Verwijder persistence-mechanismen van de aanvaller
Verwijder kwaadaardige inbox rules
Verwijder ongeautoriseerde doorstuurregels
Verwijder ongeautoriseerde OAuth-applicaties
Reset gecompromitteerde credentials

Recovery-stappen

RB-RECOVERY-003: Herstel van gebruikers & toegang
Herstel de beveiligingsinstellingen van de mailbox
Valideer de MFA-registratie
Herstel de normale zakelijke communicatie
Monitor op terugkerende compromittering

7. Communicatie & escalatie

Interne communicatie

Informeer de leiding
Informeer de financiële afdeling
Informeer het team e-mailbeheer
Informeer de getroffen bedrijfsonderdelen

Externe communicatie

Informeer leveranciers als er frauduleuze communicatie heeft plaatsgevonden
Stem zo nodig af met financiële instellingen
Stem waar passend af met Legal en Compliance

Escalatiecriteria

Situatie	Escaleren naar
Compromittering van aanvullende accounts vastgesteld	PB-004: Account Takeover
Blootstelling van data vastgesteld	PB-005: Data-exfiltratie
Betrokkenheid van een insider vermoed	PB-006: Insider Threat
Malware vastgesteld	PB-003: Endpoint-malware-infectie

8. Post-incidentactiviteiten

Lessons learned

Plan en houd een post-incidentreview (PIR)
Beoordeel de maatregelen voor e-mailsecurity
Beoordeel de effectiviteit van MFA
Beoordeel de processen voor verificatie van betalingen
Beoordeel de procedures voor communicatie met leveranciers

Documentatie bijwerken

Werk detecties bij
Werk playbooks en runbooks bij
Werk het awarenessmateriaal bij
Documenteer de lessons learned

9. Referenties & gekoppelde bronnen

Playbooks

Runbooks

10. Bijlagen

Contactlijst

Incident response-team
Team e-mailbeheer
Identity & Access-team
Financiële afdeling
Legal & Compliance

Templates

Template BEC-onderzoek
Template beoordeling financiële fraude
Template incidenttijdlijn

Processchema

BEC-alert → validatie → onderzoek → containment → recovery → post-incidentreview

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.